Uma empresa de logística contratou um fornecedor de plataforma em nuvem para hospedar os dados dos seus clientes e o seu sistema de gestão de pedidos. O fornecedor possuía uma certificação ISO 27001, e a equipe de TPRM da empresa de logística aceitou isso como confirmação de que os controles de segurança do fornecedor atendiam à norma internacional. Durante uma auditoria de acompanhamento, o auditor revisou o certificado ISO 27001 e a declaração de aplicabilidade do fornecedor. A declaração de escopo da certificação dizia: "O sistema de gestão da segurança da informação da infraestrutura interna de TI corporativa que dá suporte às operações de negócio da organização." A plataforma de hospedagem em nuvem voltada aos clientes, o ambiente onde os dados da empresa de logística de fato residiam, havia sido construída e era operada por uma divisão separada que não estava dentro do escopo da certificação. Os testes de penetração, as revisões de controle de acesso, a gestão de criptografia e as práticas de resposta a incidentes atestados pela certificação ISO 27001 se aplicavam à infraestrutura de TI corporativa. Não se aplicavam à divisão de hospedagem em nuvem. A empresa de logística havia herdado confiança de uma certificação que certificava um escopo organizacional diferente do serviço que ela estava contratando.
O que é, de fato, o problema dos equívocos sobre a herança de controles?
A herança de controles é a prática de usar uma certificação, auditoria ou avaliação de terceiros como evidência de que determinados controles estão implementados, em vez de realizar uma avaliação direta desses controles. Quando um fornecedor possui um relatório SOC 2 Tipo II, um certificado ISO 27001 ou um atestado de conformidade com o PCI-DSS, os clientes podem herdar a garantia dessas certificações para os controles e o escopo que elas cobrem, reduzindo a necessidade de avaliar diretamente controles que um terceiro respeitável já avaliou. Essa é uma abordagem legítima e eficiente de coleta de evidências, que reduz o ônus da avaliação tanto para os fornecedores quanto para os clientes.
O equívoco surge quando os clientes herdam a garantia de certificações sem verificar se o escopo da certificação cobre os ativos, serviços e controles relevantes para a sua relação específica. Toda certificação importante tem um escopo definido: os limites do que foi avaliado e daquilo a que a certificação se aplica. Os certificados ISO 27001 especificam o escopo do sistema de gestão e os ativos nele contidos. Os relatórios SOC 2 definem a descrição do sistema que abrange os serviços avaliados e a infraestrutura que lhes dá suporte. Os atestados de conformidade com o PCI-DSS cobrem o ambiente de dados do titular do cartão. Cada certificação é delimitada pelo seu escopo, e os controles fora dessa fronteira não são cobertos pela garantia da certificação.
O problema do estreitamento do escopo é onde o equívoco mais costuma gerar risco. Os escopos das certificações dos fornecedores são frequentemente mais restritos do que parecem. Uma certificação ISO 27001 de uma empresa com vários produtos pode cobrir apenas a linha de produtos que buscou a certificação. Um relatório SOC 2 de um fornecedor de SaaS pode excluir explicitamente a infraestrutura de desenvolvimento, os suboperadores e os controles físicos do data center. Um atestado PCI-DSS de um processador de pagamentos pode cobrir o ambiente de processamento de pagamentos e excluir a plataforma de análise de fraudes que também trata dados do titular do cartão. Cada estreitamento é legítimo: as certificações cobrem aquilo para o que foram concebidas. O problema são os clientes que presumem que a certificação cobre toda a relação com o fornecedor sem ler a declaração de escopo.
- Escopo da certificação não revisado: certificado aceito como garantia sem a leitura da declaração de escopo
- Escopo mais restrito do que o presumido: escopo de TI corporativa aplicado à suposição sobre o serviço voltado ao cliente
- Sistemas excluídos não avaliados: controles em sistemas fora do escopo da certificação não avaliados diretamente
- Suposição de cobertura de suboperadores: presumir que a certificação cobre suboperadores que estão explicitamente excluídos
- Idade da certificação não considerada: certificações mais antigas cobrem o ambiente como ele existia no momento da avaliação, e não o estado atual
Por que isso importa
Os equívocos sobre a herança de controles são importantes para TPRM porque criam um tipo específico de falsa garantia: a confiança que vem de uma certificação genuína e bem-conceituada que, na verdade, não cobre os ativos relevantes para o risco do cliente. A certificação é real. A garantia que ela oferece é real para o seu escopo definido. O erro está na suposição do cliente de que o escopo inclui o serviço relevante para ele. Esse tipo de falsa garantia é particularmente traiçoeiro porque se baseia em evidências genuínas, que têm autoridade genuína para o que cobrem: o erro está inteiramente na suposição sobre o escopo, e não na certificação em si.
O problema das exclusões de escopo do SOC 2 é a manifestação prática mais frequente. Os relatórios SOC 2 definem explicitamente, na descrição do sistema, o sistema dentro do escopo: os serviços, a infraestrutura e os controles avaliados. Muitos relatórios SOC 2 incluem exclusões explícitas: "os suboperadores não estão dentro do escopo deste exame", "a segurança física da infraestrutura do data center é fornecida por [provedor de nuvem] e não é avaliada neste relatório", "o ambiente de desenvolvimento não está dentro do escopo do sistema". Os clientes que aceitam um relatório SOC 2 como evidência de uma garantia de segurança abrangente sem ler a descrição do sistema e as exclusões aceitaram uma garantia para apenas uma parte dos controles relevantes.
Onde a maioria das equipes erra
A falha mais recorrente é aceitar certificações como evidência sem ler as declarações de escopo e as exclusões. As declarações de escopo não são letras miúdas: são a definição do que a certificação cobre e do que ela não cobre. Um avaliador que confirma "certificado ISO 27001" sem ler a declaração de escopo confirmou a existência da certificação sem confirmar a sua relevância.
- Aceitar a certificação como garantia sem ler as declarações de escopo
- Exclusões do SOC 2 não revisadas: descrição do sistema e sistemas excluídos não examinados
- Nenhuma verificação da relevância do escopo: se o escopo da certificação cobre os ativos relevantes para a relação
- Idade da certificação não avaliada: há quanto tempo o ambiente foi avaliado
- Requisitos de controles complementares não avaliados: controles cuja responsabilidade a certificação do fornecedor atribui ao cliente
Como é uma boa prática
Programas maduros de herança de controles leem as declarações de escopo e as exclusões antes de usar certificações como garantia, confirmam que o escopo da certificação cobre os serviços e ativos específicos relevantes para a relação com o cliente e identificam e avaliam diretamente os controles que estão fora do escopo da certificação.
- Leia as declarações de escopo: para cada certificação em que se apoia, a declaração de escopo é revisada e os ativos cobertos são confirmados
- Identifique as exclusões de escopo: os sistemas e controles explicitamente excluídos do escopo da certificação são identificados e avaliados diretamente
- Confirme a relevância do serviço: o serviço e a infraestrutura específicos relevantes para a relação com o cliente estão dentro do escopo da certificação
- Revise a seção de controles complementares: os controles complementares do SOC 2 que o cliente deve implementar são revisados
- Verifique a atualidade da certificação: quando foi realizada a avaliação mais recente e se o escopo reflete o ambiente atual
Ferramentas
Revisão de relatórios SOC 2: orientações do AICPA, revisão da descrição do sistema do SOC 2
Os relatórios SOC 2 seguem uma estrutura definida: descrição da organização de serviços, critérios de serviços de confiança aplicáveis, descrição dos controles e resultados dos testes dos controles. A seção de descrição do sistema especifica o que está no escopo. A seção de controles complementares da entidade usuária especifica o que o cliente deve implementar. Para profissionais de TPRM, ler as duas seções antes de se apoiar em um relatório SOC 2 fornece as informações sobre a relevância do escopo e os controles complementares que a aceitação da certificação sem leitura não fornece.
Revisão de certificados ISO 27001: declarações de escopo do certificado, Declaração de Aplicabilidade
Os certificados ISO 27001 especificam o escopo no próprio certificado. A Declaração de Aplicabilidade documenta quais controles estão incluídos, quais estão excluídos e com qual fundamento. Para profissionais de TPRM, solicitar a Declaração de Aplicabilidade junto com o certificado ISO 27001 fornece as informações detalhadas de escopo que a breve declaração de escopo do certificado resume.
Desafios de governança
O desafio de governança da herança de controles é o investimento em leitura. Os relatórios SOC 2 podem ser documentos extensos. As declarações de aplicabilidade da ISO 27001 podem ser planilhas abrangentes. O benefício de eficiência da herança de controles diminui se cada avaliador precisar ler cada documento por inteiro. A solução de governança é uma leitura focada no escopo: avaliadores treinados para localizar e avaliar imediatamente as declarações de escopo, as descrições do sistema, as exclusões e os requisitos de controles complementares sem ler todas as páginas.
- Treine os avaliadores para ler as declarações de escopo e as exclusões: não todas as páginas, mas as seções que definem o escopo
- Exija a confirmação do escopo antes de se apoiar em certificações: confirmação documentada de que o escopo cobre os ativos relevantes
- Identifique e avalie diretamente os controles excluídos: os controles fora do escopo da certificação recebem uma avaliação direta
- Acompanhe a atualidade da certificação: quando foi realizada a avaliação mais recente
- Revise os controles complementares: as obrigações de controle do cliente decorrentes das certificações do fornecedor são identificadas e implementadas
Se você faz parte de uma equipe pequena
Para as três certificações em que você mais se apoia no seu programa de TPRM, localize a declaração de escopo ou a descrição do sistema e leia-a especificamente para responder: o escopo cobre o serviço ou a infraestrutura específicos por meio dos quais esse fornecedor acessa ou trata os nossos dados? No caso dos relatórios SOC 2, leia também a seção de controles complementares da entidade usuária para identificar o que a sua organização é responsável por implementar. Essas duas leituras, escopo e controles complementares, revelarão se as suas suposições sobre a herança de controles estão corretas.
- Leia as declarações de escopo de todas as certificações em que você se apoia em TPRM
- Confirme que o escopo cobre o serviço e a infraestrutura específicos relevantes para a relação com o cliente
- Revise as seções de controles complementares da entidade usuária do SOC 2
- Identifique e avalie diretamente os controles fora do escopo da certificação
O que exigir
Pergunte diretamente:
"Para a sua certificação ISO 27001, vocês podem confirmar que o escopo cobre [nome do serviço específico e infraestrutura], ou seja, que o sistema que trata os nossos dados está dentro da declaração de escopo da certificação?"
"No seu relatório SOC 2, quais sistemas e serviços estão explicitamente excluídos do escopo e, especificamente, [sistema nomeado] está dentro ou fora do escopo do exame?"
O que esperar como evidência
- Declaração de escopo da certificação ou descrição do sistema que confirme a cobertura do serviço relevante
- Lista dos sistemas explicitamente excluídos da descrição do sistema do SOC 2
- Declaração de Aplicabilidade da ISO 27001, se solicitada
- Controles complementares da entidade usuária do relatório SOC 2
Um fornecedor que apresenta um certificado ISO 27001 deve ser solicitado a confirmar que o escopo indicado no certificado cobre o serviço e a infraestrutura específicos relevantes para a relação com o cliente. O certificado é genuíno. O escopo que ele cobre é a questão.
Como comprovar
- Registros da revisão das declarações de escopo de todas as certificações utilizadas
- Documentação da confirmação da relevância do escopo
- Registros da avaliação direta dos controles excluídos
- Registros da implementação dos controles complementares da entidade usuária
Principal conclusão
A herança de controles funciona quando o escopo corresponde. Ela falha silenciosamente quando não corresponde. A certificação ISO 27001 é real, e os controles que ela cobre são de fato avaliados segundo a norma. A plataforma de hospedagem em nuvem onde residem os dados do cliente está fora do escopo da certificação. A garantia herdada da certificação não se estende aos ativos dos quais depende o risco do cliente. Ler a declaração de escopo é a etapa de governança que distingue a garantia relevante da garantia presumida. O certificado é genuíno. O escopo é delimitado. A fronteira é o que deve ser lido.